wp2shell ist eine kritisch benannte Angriffskette gegen WordPress Core, die im Juli 2026 öffentlich bekannt wurde. Das Brisante daran: Sie betrifft nicht irgendein einzelnes Plugin, sondern bestimmte WordPress-Versionen selbst. Ein Angreifer braucht dafür keinen Login, wenn die betroffene Website verwundbar im Netz erreichbar ist.
Für Website-Betreiber ist das vor allem aus einem Grund wichtig: Ein Update schließt die Lücke, aber es entfernt nicht automatisch Spuren eines bereits erfolgreichen Angriffs. Wenn vor dem Update schon eine Webshell, ein manipuliertes Plugin, ein unbekannter Admin-Benutzer oder eine andere Backdoor angelegt wurde, kann die Website trotz aktualisiertem WordPress weiter kompromittiert sein.
In diesem Artikel erfährst du, was wp2shell bedeutet, welche WordPress-Versionen betroffen sind, welche Warnzeichen du ernst nehmen solltest und warum bei Verdacht eine saubere Prüfung wichtiger ist als hektisches Löschen.
Kurz erklärt: Was ist wp2shell?
wp2shell bezeichnet eine Pre-Authentication Remote Code Execution in WordPress Core. Vereinfacht gesagt: Unter bestimmten Voraussetzungen kann ein Angreifer ohne vorherigen Login eine Angriffskette auslösen, die am Ende zur Ausführung von Code auf dem Server führt.
Der bekannte Einstiegspunkt liegt in der WordPress REST Batch API. Diese ist über Pfade wie /wp-json/batch/v1 oder über ?rest_route=/batch/v1 erreichbar. Sicherheitsforscher beschrieben dabei eine Kette, bei der fehlerhafte Verarbeitung innerhalb dieser Batch-Requests ausgenutzt werden kann. Daraus kann eine SQL-Injection entstehen, die anschließend bis zur Übernahme eines WordPress-Administratorkontos und zum Hochladen eines bösartigen Plugins führen kann.
Wichtig: Für deinen Alltag als Website-Betreiber musst du die Exploit-Details nicht nachbauen oder verstehen. Entscheidend ist die praktische Frage:
War deine WordPress-Version betroffen, war die Website erreichbar und gibt es Hinweise darauf, dass der Angriff bereits stattgefunden hat?
Welche WordPress-Versionen sind betroffen?
Nach den veröffentlichten Informationen von Searchlight Cyber sind diese Versionen betroffen:
- WordPress 6.9.0 bis 6.9.4
- WordPress 7.0.0 bis 7.0.1
Geschlossen wurde die Lücke in:
- WordPress 6.9.5 für die 6.9-Serie
- WordPress 7.0.2 für die 7.0-Serie
Ältere WordPress-Versionen bis einschließlich 6.8.5 waren laut dieser Einordnung nicht von der vollständigen RCE-Kette betroffen. Trotzdem sind alte WordPress-Versionen grundsätzlich kein sicherer Zustand. Sie können andere bekannte Lücken enthalten und sollten nicht als Dauerlösung betrieben werden.
Wenn deine Website in den betroffenen Versionen online war, solltest du nicht nur aktualisieren, sondern zusätzlich prüfen, ob bereits Spuren eines Angriffs vorhanden sind.
Warum wp2shell so kritisch ist
Viele WordPress-Sicherheitsprobleme entstehen durch unsichere Plugins, schlecht gepflegte Themes oder schwache Zugangsdaten. wp2shell ist anders, weil der Angriff auf WordPress Core selbst zielt.
Das macht die Lage aus drei Gründen ernst:
- Kein Login nötig: Der Angriff kann grundsätzlich vor der Anmeldung ansetzen.
- Keine Plugin-Voraussetzung: Auch eine „saubere“ WordPress-Installation ohne problematisches Plugin kann betroffen sein, wenn die WordPress-Version verwundbar ist.
- Webshell als mögliches Ziel: Nach erfolgreicher Ausnutzung kann bösartiger PHP-Code auf dem Server landen und Befehle ausführen.
Eine Webshell ist für Angreifer besonders wertvoll. Sie ist eine Hintertür auf dem Webspace. Darüber können Dateien gelesen, verändert oder nachgeladen werden. Je nach Hosting-Umgebung können auch Datenbankzugänge, Konfigurationsdateien, weitere Websites im gleichen Account oder E-Mail-Funktionen betroffen sein.
Typische Spuren eines wp2shell-Angriffs
Nicht jede kompromittierte Website zeigt sofort eine Warnmeldung. Viele Angriffe laufen bewusst leise. Trotzdem gibt es Hinweise, die bei wp2shell und ähnlichen WordPress-Kompromittierungen auffallen können.
Mögliche technische Spuren sind:
- ungewöhnliche Zugriffe auf
/wp-json/batch/v1 - ungewöhnliche Zugriffe mit
?rest_route=/batch/v1 - neue Plugin-Verzeichnisse mit Namen wie
wp2shell_... - ZIP-Dateien oder temporäre Dateien im Upload- oder Upgrade-Bereich
- PHP-Dateien an Orten, an denen sie nicht hingehören
- Webserver-Prozesse, die Shell-Befehle ausführen
- unbekannte Admin-Benutzer im WordPress-Backend
- manipulierte Plugin- oder Theme-Dateien
- verdächtige Änderungen an
.htaccess,wp-config.phpoder Cronjobs
Elastic Security Labs beschreibt bei öffentlichen Proof-of-Concepts unter anderem neue Plugin-Verzeichnisse unter wp-content/plugins/ und Webserver-Prozesse, die kurze Systembefehle ausführen. Das sind starke Hinweise, dass nicht nur gescannt, sondern tatsächlich Code ausgeführt wurde.
Aber Vorsicht: Angreifer können Dateinamen ändern, Plugins wieder löschen oder ihre Spuren teilweise entfernen. Deshalb ist ein fehlender Ordner mit wp2shell im Namen kein Beweis, dass alles sauber ist.
Warnzeichen, die du als Betreiber sehen kannst
Auch ohne Server-Forensik gibt es sichtbare Hinweise, die du ernst nehmen solltest:
- Google meldet „Diese Website wurde möglicherweise gehackt“
- Besucher landen auf fremden Seiten
- dein Hoster meldet Malware, hohe Last oder auffällige Prozesse
- das Backend ist plötzlich langsam oder nicht erreichbar
- neue Admin-Benutzer tauchen auf
- Plugins sind aktiv, die du nicht installiert hast
- Dateien ändern sich ohne erkennbaren Grund
- Sicherheitsplugins melden veränderte Core-, Plugin- oder Theme-Dateien
- Spam-Seiten erscheinen in Google, obwohl sie im Backend nicht sichtbar sind
Wenn solche Dinge kurz nach einer kritischen Sicherheitslücke auftreten, solltest du nicht nur auf ein Plugin-Problem tippen. Dann gehört die komplette Website in die Prüfung.
Wenn du allgemeine Warnzeichen besser einordnen willst, hilft dir auch der Artikel WordPress Malware erkennen.
Reicht ein WordPress-Update gegen wp2shell?
Ein Update ist der erste und wichtigste Schritt. Ohne Update bleibt die bekannte Lücke offen.
Aber: Ein Update ist keine Bereinigung.
Stell dir den Unterschied so vor:
- Das Update schließt die Tür, durch die der Angriff möglich war.
- Die Prüfung klärt, ob schon jemand im Haus war.
- Die Bereinigung entfernt zurückgelassene Hintertüren.
- Die Absicherung sorgt dafür, dass die Website danach nicht direkt wieder verwundbar betrieben wird.
Wenn eine Website bereits kompromittiert wurde, können Angreifer mehrere Rückwege hinterlassen. Das kann eine Webshell sein, ein versteckter Admin-Account, ein manipuliertes Plugin, Schadcode in einem Theme, ein Eintrag in der Datenbank oder eine veränderte Server-Konfiguration.
Genau deshalb ist „Ich habe WordPress aktualisiert“ nur dann beruhigend, wenn vorher keine Kompromittierung stattgefunden hat oder die Website danach sauber geprüft wurde.
Was du sofort tun solltest, wenn deine Website betroffen sein könnte
Wenn deine WordPress-Version im betroffenen Zeitraum verwundbar war, geh ruhig und strukturiert vor.
1. WordPress aktualisieren
Aktualisiere WordPress auf eine nicht betroffene Version. Bei wp2shell bedeutet das mindestens 6.9.5 oder 7.0.2, je nach eingesetzter Versionslinie.
Wenn du nicht direkt aktualisieren kannst, sollte der Zugriff auf die betroffenen Batch-Endpunkte vorübergehend auf WAF- oder Serverebene eingeschränkt werden. Das ist aber nur eine Notmaßnahme. Dauerhaft ersetzt sie kein Update.
2. Aktuellen Zustand sichern
Bevor du Dateien löschst, sichere den aktuellen Zustand von Dateien und Datenbank. Das klingt bei Malware erst einmal merkwürdig, ist aber wichtig für Analyse, Wiederherstellung und Beweissicherung.
Lösche nicht vorschnell einzelne Dateien, nur weil sie verdächtig aussehen. Bei einer echten Kompromittierung gibt es oft mehrere Stellen, nicht nur eine auffällige Datei.
3. Logs prüfen
Wichtig sind besonders:
- Webserver-Access-Logs
- Error-Logs
- PHP-Logs
- Hosting-Sicherheitsmeldungen
- WordPress-Aktivitätslogs, falls vorhanden
- WAF- oder Firewall-Logs
Achte auf Zugriffe auf die Batch API, ungewöhnliche POST-Requests, Plugin-Uploads, kurz hintereinander auftretende Fehler oder Anfragen aus verdächtigen Netzen.
4. Dateien und Datenbank prüfen
Eine sinnvolle Prüfung umfasst mindestens:
- WordPress-Core-Dateien gegen Originalversion prüfen
- Plugins und Themes auf Veränderungen kontrollieren
- verdächtige PHP-Dateien in
wp-content,uploads,cacheundupgradeprüfen - unbekannte Plugin-Verzeichnisse suchen
.htaccess,wp-config.phpund Cronjobs kontrollieren- Admin-Benutzer und Rollen prüfen
- Datenbank nach verdächtigen Optionen, Weiterleitungen und versteckten Inhalten prüfen
Wenn ein Sicherheitsplugin „alles sauber“ meldet, ist das hilfreich, aber nicht automatisch vollständig. Malware kann Scanner umgehen, Sicherheitsplugins manipulieren oder außerhalb der normalen WordPress-Struktur liegen.
5. Zugangsdaten erneuern
Nach der Bereinigung sollten alle relevanten Zugangsdaten erneuert werden:
- WordPress-Admin-Passwörter
- Hosting-Login
- SFTP/FTP-Zugänge
- Datenbank-Passwort
- API-Keys und SMTP-Zugänge
- WordPress-Salts in der
wp-config.php
Wichtig ist die Reihenfolge: Passwörter zu früh zu ändern bringt wenig, wenn noch eine aktive Backdoor vorhanden ist.
Was du vermeiden solltest
Bei akuten Sicherheitslücken ist der Reflex verständlich: schnell einloggen, ein Scanner-Plugin installieren, ein paar Dateien löschen und hoffen, dass Ruhe ist.
Das kann aber neue Probleme schaffen.
Vermeide besonders:
- verdächtige Dateien ohne Sicherung zu löschen
- Backups blind einzuspielen
- nur WordPress zu aktualisieren und die Prüfung zu überspringen
- unbekannte Admin-Benutzer einfach zu löschen, ohne weitere Spuren zu prüfen
- Plugin-Scanner als einzige Wahrheit zu betrachten
- denselben FTP- oder Hosting-Zugang weiterzuverwenden
- die Website nach einer Warnung „erst einmal laufen zu lassen“
Gerade bei Webshells und Backdoors ist halb bereinigt oft gefährlich. Die sichtbare Störung ist weg, aber der Zugriff bleibt bestehen.
Wann du professionelle Hilfe holen solltest
Du solltest Hilfe holen, wenn:
- deine Website in einer betroffenen Version online war
- dein Hoster Malware oder auffällige Prozesse meldet
- du unbekannte PHP-Dateien findest
- neue Admin-Benutzer aufgetaucht sind
- Google oder Browser Sicherheitswarnungen anzeigen
- Weiterleitungen, Spam-Seiten oder Blacklist-Probleme auftreten
- du nicht sicher bist, ob die Website nach dem Update wirklich sauber ist
Bei einem Verdacht auf wp2shell geht es nicht nur um das Entfernen einer Datei. Es geht darum, den gesamten Zustand der Website zu bewerten: Einstiegspunkt, Schadcode, Backdoors, Zugänge, Datenbank, Updates, Backups und Absicherung.
Wenn du akut betroffen bist, kannst du hier Unterstützung anfragen: Soforthilfe bei gehackter WordPress-Website anfordern.
Wie WP Fuchs bei wp2shell-Verdacht hilft
Bei WP Fuchs prüfe ich nicht nur, ob WordPress aktuell ist. Bei einem Sicherheitsverdacht schaue ich mir die Website systematisch an:
- WordPress-Version, Plugins und Themes prüfen
- Dateien und Datenbank auf Malware, Webshells und Backdoors untersuchen
- verdächtige Admin-Benutzer und Zugänge bewerten
- auffällige Server- und WordPress-Spuren einordnen
- Schadcode entfernen, soweit technisch möglich
- betroffene Zugänge und Konfigurationen absichern
- sinnvolle Schutzmaßnahmen für die Zeit danach empfehlen
Das Ziel ist nicht nur: „Die Website sieht wieder normal aus.“ Das Ziel ist: Die Ursache verstehen, den Schaden begrenzen und das Risiko einer erneuten Kompromittierung deutlich senken.
Für laufende Pflege, Updates, Backups, Monitoring und Schutz passt außerdem die Seite WordPress Schutz.
Häufige Fragen zu WordPress wp2shell
Ist wp2shell ein Plugin?
Nein. wp2shell ist der Name einer Angriffskette gegen WordPress Core. Im Rahmen öffentlicher Proof-of-Concepts können zwar bösartige Plugin-Verzeichnisse mit Namen wie wp2shell_... entstehen, aber die eigentliche Schwachstelle liegt nicht in einem normalen WordPress-Plugin.
Muss ich betroffen sein, wenn ich WordPress nutze?
Nicht automatisch. Entscheidend sind Version, Zeitraum und Erreichbarkeit deiner Website. Betroffen waren laut Veröffentlichung bestimmte Versionen aus den Reihen 6.9 und 7.0. Wenn du eine dieser Versionen öffentlich betrieben hast, solltest du prüfen lassen, ob Hinweise auf Ausnutzung vorliegen.
Kann ich einfach ein Backup einspielen?
Ein Backup kann helfen, ist aber keine automatische Lösung. Wenn das Backup nach der Kompromittierung erstellt wurde, enthält es möglicherweise bereits Schadcode oder Backdoors. Außerdem bleibt die Eintrittslücke offen, wenn du anschließend nicht sauber aktualisierst und absicherst.
Findet ein Sicherheitsplugin wp2shell zuverlässig?
Ein gutes Sicherheitsplugin kann Hinweise liefern, aber es ersetzt keine vollständige Prüfung. Angreifer können Dateien umbenennen, Scanner umgehen, Plugins manipulieren oder Spuren außerhalb der üblichen WordPress-Struktur hinterlassen.
Was ist wichtiger: Update oder Malware-Prüfung?
Beides, aber in der richtigen Reihenfolge. Zuerst muss die bekannte Lücke geschlossen werden. Danach solltest du prüfen, ob die Website bereits kompromittiert wurde. Wenn es Anzeichen für einen erfolgreichen Angriff gibt, braucht es eine Bereinigung und anschließende Absicherung.
Fazit: wp2shell ist ein Anlass, WordPress ernsthaft zu prüfen
wp2shell zeigt, dass WordPress-Sicherheit nicht nur aus Plugin-Updates besteht. Auch WordPress Core kann kritische Schwachstellen haben. Wenn eine Website in einer betroffenen Version online war, reicht ein schneller Blick ins Backend nicht aus.
Aktualisiere WordPress, prüfe Logs und Dateien, achte auf unbekannte Benutzer und nimm Hinweise deines Hosters ernst. Wenn du nicht sicher bist, ob deine Website sauber ist, ist eine fachliche Prüfung sinnvoller als Rätselraten.
Verdacht auf wp2shell oder WordPress-Malware? Soforthilfe anfordern ->